Просьба к пользователям PDO/Mysql

[grigori]

Prepared statements в PDO по умолчанию выключены ;-)

интересно, не знал
да, $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false); включает реальное использование хранимых процедур в mysql, но в большинстве случаев они медленнее, чем эмуляция
http://blog.ulf-wendel.de/?p=187#abusing

 

[grigori]

Фанат
может, тебе заодно стоит рассказать и про уязвимость в регулярках?

А то про injection говорят все, а про сегфолты в регулярках надо объяснять даже авторам фреймворков.

 

[zerkms]

даже авторам фреймворков

ты с таким таинственным придыханием это говоришь, что можно подумать, что фреймворки пишут боги

 

[grigori]

скажу иначе: я сам еще неделю назад не знал толком, в чем заключается проблема с регулярками
знал только, что она есть, а с какими и почему - не разбирался

 

[Фанат]

Ну, у меня вокруг этого дела враппер, который делает так

Спрашивается, нафига тут ПДО, если всё руками ))

grigori, а я про них и не знаю ничего.

 

[fixxxer]

Спрашивается, нафига тут ПДО, если всё руками ))

Все же писанины заметно меньше, чем делать плейсхолдеры целиком ручками. А без них как-то совсем не комильфо.

Но что pdo нифига от рутины не избавляет - факт. Я его потому и юзаю только по мелочи, неудобно таки.

 

[grigori]

вроде ж готовят новый pdo с разными удобными фичами

а вообще, он не столько для избавления от рутины, сколько для унификации уровня драйверов для sqlite/mysql/pg
ну, и немного удобств по мелочи

просто выбор - или поддерживать 3 разные обертки для доступа к базам, или одну
лень, как обычно, побеждает

 

[grigori]

grigori, а я про них и не знаю ничего.

проблема с ними в том, что в довольно популярных пакетах можно встретить регулярки для валидации пользовательских данных (email, url), с бесконечными мультипликаторами субпаттернов ()* и ()+ без предварительной проверки длины данных
ну, и такой скрипт легко сегфолтится запросом с несколькими килобайтами данных

 

[Фанат]

array(2) {
  ["@@character_set_client"]=>
  string(3) "gbk"
  [0]=>
  string(3) "gbk"
}
array(0) {
}

Блин, Костя, ты мне всю малину испортил
В 5.3.6 с установленной в дсн-е кодировкой инъекция не проходит